Pokuta za zneužití OÚ pro agresivní marketing
- Josef Bátrla
- 24. 4.
- Minut čtení: 3
Italský dozorový úřad udělil pokutu ve výši 347 tisíc eur telekomunikační společnosti za agresivní marketingové praktiky, pro které využívala tzv. cold listy s kontaktními údaji spotřebitelů. Společnost zaplatí i za pochybení svých dodavatelů.
Italský dozorový orgán rozhodl 12. 12. 2024 o uložení pokuty italské telekomunikační společnosti Wind Tre. Sankce byla udělena zejména za agresivní marketingové praktiky společnosti spočívající především ve využívání kontaktních údajů spotřebitelů, kteří se společností neměli žádnou předchozí interakci, a to ke kontaktování těchto spotřebitelů bez jejich souhlasu. Tento případ poukazuje na důležitost dodržování pravidel GDPR, zejména pak na nezbytnost získání souhlasu se zpracováním osobních údajů.
Pozadí případu
Společnost Wind Tre byla již v roce 2020 sankcionována italským dozorovým úřadem pokutou ve výši 16,7 milionu eur (přibližně 418,5 milionu korun českých) za nezákonné zpracování osobních údajů a neoprávněnou marketingovou komunikaci se zákazníky. Rozhodnutí se zabývalo i několika stížnostmi vůči společnosti kvůli agresivním marketingovým praktikám.
Italský dozorový úřad zároveň společnosti nařídil, aby ukončila zpracovávání osobních údajů bez souhlasu.
Stížnosti subjektů údajů
Subjekty údajů vznesly několik stížností vůči společnosti, a to zejména z důvodu nevyžádané marketingové komunikace prováděné společností bez jejich souhlasu prostřednictvím textových zpráv, e-mailů, faxů či automatizovaných telefonních hovorů. V několika případech subjekty údajů prohlásily, že jim nebylo umožněno uplatnit své právo odvolat souhlas nebo vznést námitku proti zpracování svých údajů pro marketingové účely, částečně z důvodu nepřesných kontaktních údajů společnosti uvedených v komunikaci, kterou jim společnost zaslala. V dalších případech byly kontakty na subjekty údajů zahrnuty do veřejných telefonních seznamů navzdory (někdy opakovaným) námitkám vzneseným těmito subjekty údajů.
Jako správce ručíte za ochranu osobních údajů i ve svém dodavatelském řetězci
Další vyšetřování
Italský dozorový úřad zahájil v roce 2022 vyšetřování z moci úřední za účelem ověření plnění povinností uložených společnosti rozhodnutím z roku 2020. Vyšetřování bylo cíleno především na používání tzv. cold listů, což jsou seznamy kontaktních údajů od spotřebitelů, kteří neměli žádnou předchozí interakci se společností. Dále se vyšetřování zaměřilo na dokumentaci udělených souhlasů ze strany zákazníků a též na celkové fungování marketingových systémů společnosti a na vztahy společnosti s jejími dodavateli.
Během šetření bylo zjištěno, že za účelem uzavírání smluv se spotřebiteli byly využívány kontakty spotřebitelů z cold listů. Tímto způsobem tři dodavatelé společnosti uzavřeli patnáct smluv. Dodavatelé přitom v této situaci vystupovali jako zpracovatelé osobních údajů. Společnost jakožto správce osobních údajů se tak dle italského dozorového úřadu dopustila porušení několika ustanovení GDPR v souvislosti s tím, že tyto dodavatele smluvně zavázala jako zpracovatele a dále je dostatečně nekontrolovala.
Společnost jednak nebyla schopna prokázat, že subjekty údajů byly kontaktovány s jejich souhlasem, jednak došlo ze strany dodavatelů k porušení doby pro uchovávání osobních údajů stanovené společností, která byla v pozici správce. Jeden z dodavatelů byl navíc usazen v Moldavsku a neměl zástupce v EU. Používání cold listů z webových stránek třetích stran tak vyvolalo problémy s dodržováním předpisů týkajících se ochrany osobních údajů, přičemž společnost nebyla schopna prokázat souhlas s použitím takto získaných kontaktů.
Vyhněte se používání tzv. cold listů pro přímý marketing
Porušení GDPR
Italský dozorový úřad konstatoval, že společnost porušila čl. 5 odst. 1 písm. f) a odst. 2, čl. 6 odst. 1 a dále též odst. 7, 24, 28, 32 a 33 GDPR, a to výše uvedeným jednáním a též tím, že ze svého postavení správce:
nezajistila dokumentaci souhlasů subjektů údajů v celém dodavatelském řetězci;
nezavedla odpovídající bezpečnostní opatření;
neohlašovala bezpečnostní incidenty italskému dozorovému úřadu.
Opatření zavedená společností
V reakci na vyšetřování ze strany italského dozorového úřadu zavedla společnost několik opatření za účelem uvedení svých marketingových aktivit do souladu s předpisy týkajícími se ochrany osobních údajů, a to například:
zavedení nového systému pro správu kampaní ke zlepšení sledování operací dodavatelů;
zavedení přísnějšího výběru a kontroly dodavatelů;
zavedení opatření na ochranu zákazníků před podvodnými hovory;
ukončení používání cold listů pro přímý marketing.
Výše sankce a důsledky
Za výše uvedená porušení GDPR uložil italský dozorový úřad společnosti pokutu ve výši 347 520 eur (přibližně 8,7 milionu korun). Italský dozorový úřad při rozhodování o výši pokuty zohlednil mimo jiné to, že s ním společnost při vyšetřování spolupracovala, zásadně změnila své marketingové praktiky a přestala používat cold listy pro přímý marketing.
Tento případ poukazuje na to, jak je důležité pro zpracování osobních údajů získat souhlas subjektů údajů. Kromě toho je vždy potřeba udělené souhlasy i řádně dokumentovat. Pro společnosti v pozici správce je též podstatné, aby byly v souladu s GDPR nejenom jejich postupy, ale i postupy zpracovatele, kterého zpracováním osobních údajů pověří.
Pokud se společnost dopustí porušení GDPR, je potřeba myslet na to, že spolupráce s dozorovým úřadem a zavedení dodatečných opatření k uvedení postupů společnosti do souladu s GDPR mohou vést k mírnějšímu posuzování ze strany dozorového úřadu, například k udělení nižší pokuty, jak tomu bylo i v daném případě. Ačkoliv pokuta pro společnost Wind Tre byla poměrně vysoká, v případě nespolupráce s italským dozorovým úřadem by mohla být ještě vyšší.
Comments